网络和终端设备隔离部件安全技术要求

1、信息安全技术网络和终端设备隔离部件安全技术要求Information security technologySecurity techniques requirements of separation components of network and terminal equipment目次前言V引言VI范围1规范性引用文件1术语和定义1安全环境2物理方面2人员方面2连通性方面2隔离部件分级安全技术要求2物理断开隔离部件2基本级要求2访问控制2配置管理3交付与运行3安全功能开发过程3指导性文档3测试4生命周期支持4增强级要求4访问控制4不可旁路5客体重用5配置管理5交付与运行5安全功能开发过

2、程5指导性文档6生命周期支持6测试6脆弱性评定7单向隔离部件7基本级要求7访问控制7配置管理8交付与运行8安全功能开发过程8指导性文档8测试9生命周期支持9增强级要求9访问控制9不可旁路10客体重用10配置管理10交付与运行10安全功能开发过程10指导性文档11生命周期支持11测试110脆弱性评定12协议隔离部件12第一级12访问控制12身份鉴别13数据完整性13配置管理13交付与运行13安全功能开发过程13指导性文档13测试14生命周期支持14第二级14访问控制14身份鉴别15客体重用16审计16数据完整性17配置管理17交付与运行17安全功能开发过程17指导性文档18生命周期支持181测试

3、182脆弱性评定195.3.3第三级19访问控制19标记20身份鉴别20 PAGE * ROMAN IV客体重用21审计21数据完整性22密码支持22配置管理22交付和运行22安全功能开发过程23指导性文档24生命周期支持243测试254脆弱性评定25网闸隔离部件25第一级25访问控制25身份鉴别26数据完整性26配置管理26交付与运行26安全功能开发过程26指导性文档27测试27生命周期支持28第二级28访问控制28身份鉴别29客体重用29审计29数据完整性30配置管理30交付与运行30安全功能开发过程30指导性文档31生命周期支持321测试322脆弱性评定325.4.3第三级32访问控制3

4、2标记34身份鉴别34客体重用 34审计 34数据完整性 35密码支持 35配置管理 35交付和运行 360安全功能开发过程 361指导性文档 372生命周期支持 383测试 384脆弱性评定 39参考文献40引言本标准是信息安全等级保护技术要求系列标准的重要组成部分，用以指导设计者如何设计和实现具有所需要的安全等级的隔离部件，主要从对隔离部件的安全保护等级进行划分的角度来说明其技术要求，即主要说明为实现基于 GB17859-1999 的各个保护等级的安全要求对隔离部件应采取的安全技术措施，以及各安全技术要求在不同安全级中具体实现上的差异。本标准以 GB17859-1999 的安全等级的划分为

5、基础，针对隔离部件的技术特点，对相应安全等级的安全功能技术要求和安全保证技术要求做了详细描述。在本标准文本中，加粗字体表示较高等级中新出现或增强的功能要求。信息安全技术网络和终端设备隔离部件安全技术要求范围本标准规定了对隔离部件进行安全保护等级划分所需要的详细技术要求，并给出了每一个安全保护等级的不同技术要求。本标准适用于隔离部件的设计和实现，对隔离部件进行的测试、管理也可参照使用。规范性引用文件下列文件中的有关条款通过引用而成为本标准的条款。凡注日期或版次的引用文件，其后的任何修改单（不包括勘误的内容）或修订版本都不适用于本标准，但提倡使用本标准的各方探讨使用其最新版本的可能性。凡不注日期或

6、版次的引用文件，其最新版本适用于本标准。GB17859-1999 计算机信息系统安全保护等级划分准则GB/T BBBB-XXXX 信息安全技术 计算机信息系统安全等级保护通用技术要求术语和定义GB17859-1999 和 GB/T BBBB-XXXX 中确立的以及下列术语和定义适用于本标准。物理断开 physical disconnection指处于不同安全域的网络之间不能以直接或间接的方式相连接。在一个物理网络环境中，实施不同安全域的网络物理断开，在技术上应确保信息在物理传导、物理存储上的断开。3.2协议转换 protocol conversion在隔离部件中，协议转换的定义是协议的剥离和重

7、建。在所属某一安全域的隔离部件一端，把基于网络的公共协议中的应用数据剥离出来，封装为系统专用协议传递至所属其他安全域的隔离部件另一端，再将专用协议剥离，并封装成需要的格式。3.3协议隔离 protocol separation指处于不同安全域的网络在物理上是有连线的，通过协议转换的手段保证受保护信息在逻辑上是隔离的，只有被系统要求传输的、内容受限的信息可以通过。3.4信息摆渡 information ferry信息交换的一种方式，物理传输信道只在传输进行时存在。信息传输时，信息先由信息源所在安全域一端传输至中间缓存区域，同时物理断开中间缓存区域与信息目的所在安全域的连接；随后接通中间缓存区域与

8、信息目的所在安全域的传输信道，将信息传输至信息目的所在安全域，同时在信道上物理断开信息源所在安全域与中间缓存区域的连接。在任一时刻，中间缓存区域只与一端安全域相连。3.5物理断开隔离部件 physical disconnection separation components在端上实现信息物理断开的信息安全部件，如物理隔离卡。3.6单向隔离部件 unilateral separation components在端上依靠由硬件访问控制信息交换分区实现信息在不同的安全域信息单向流动的信息安全部件。3.7协议隔离部件 protocol separation components位于两个不同安全域之间

9、，实现协议隔离的信息安全部件。其信息流一般是专用应用数据。3.8网闸 gap该信息安全部件位于两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息可以通过。其信息流一般是通用应用服务。安全环境物理方面对隔离部件资源的处理限定在一些可控制的访问设备内，防止未授权的物理访问。所有与实施隔离部件安全策略相关的硬件和软件应受到保护以免于未授权的物理修改。人员方面授权管理员不具敌意并遵守所有的管理员规则。连通性方面隔离部件是处于不同安全域网络之间的唯一连接点。对于物理断开隔离部件，不存在任何安全域网间的信息传输；对于单向隔离部件，信息可以从低级安全域向高级

10、安全域通过断电非逸失性存储设备进行单向传输，反之则不能；对于协议隔离部件与网闸部件，所有安全域网络间的信息传输应经过隔离部件；授权管理员可以从高级安全域网络对隔离部件进行远程管理。隔离部件分级安全技术要求物理断开隔离部件基本级要求访问控制安全属性定义对于信息存储与传输部件（主要是处于不同安全域的存储设备、网络接入设备），物理断开隔离部件应为其设定唯一的、为了执行安全功能策略所必需的安全属性。属性修改物理断开隔离部件安全功能应向端设备用户提供修改与安全相关属性的参数的能力。属性查询物理断开隔离部件安全功能应向端设备用户提供安全属性查询的能力。访问授权与拒绝物理断开隔离部件的安全功能应对被隔离的计

11、算机信息资源提供明确的访问保障能力和访问拒绝能力。在技术上确保：在信息物理传导上使内外网络隔断，确保外部网不能通过网络连接侵入内部网；同时阻止内部网信息通过网络连接泄露到外部网；在信息物理存储上隔断两个网络环境，对于断电后会逸失信息的部件，如内存、寄存器等暂存部件，要在网络转换时作清零处理，防止遗留信息窜网；对于断电后不会逸失信息的设备， 如磁带机、硬盘等存储设备，内部网与外部网信息要以不同存储设备分开存储；对移动存储介质，如光盘、软盘、USB 硬盘等，应在网络转换前提示用户干预或禁止在双网都能使用这些设备。配置管理开发者应为隔离部件产品的不同版本提供唯一的标识。隔离部件产品的每个版本应当使用

12、它们的唯一标识作为标签。交付与运行交付开发者应使用一定的交付程序交付物理断开隔离部件，并将交付过程文档化。交付文档应描述在给用户方交付物理断开隔离部件的各版本时，为维护安全所必需的所有程序。安装生成开发者应提供文档说明物理断开隔离部件的安装、生成和启动的过程。安全功能开发过程功能设计开发者应提供隔离部件产品的安全功能设计。功能设计应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与方法，在需要的时候，还要提供例外情况和错误信息的细节。安全功能设计应是内在一致的并能完备地表示安全功能。表示对应性开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。对于隔离部件安全

13、功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安全功能，应在较具体的安全功能表示中得到正确而完备地细化。指导性文档管理员指南开发者应提供系统管理员使用的管理员指南。管理员指南应说明以下内容：隔离部件可以使用的管理功能和接口；怎样安全地管理隔离部件；在安全处理环境中应进行控制的功能和权限；所有对与隔离部件的安全操作有关的用户行为的假设；所有受管理员控制的安全参数，如果可能，应指明安全值；每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改变；所有与系统管理员有关的 IT 环境的安全要求。管理员指南应与为评估而提供的其他所有文档保持一致。用户指南开发

14、者应提供用户指南。用户指南应说明以下内容：隔离部件的非管理用户可使用的安全功能和接口；隔离部件提供给用户的安全功能和接口的用法；用户可获取但应受安全处理环境控制的所有功能和权限；隔离部件安全操作中用户所应承担的职责；与用户有关的 IT 环境的所有安全要求。用户指南应与为评估而提供的其他所有文档保持一致。测试范围开发者应提供测试覆盖的分析结果。测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对应的。功能测试开发者应测试安全功能，将结果文档化并提供测试文档。测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试的安全功能，并描述测试的目

15、标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况， 这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测试结果应表明每个被测试的安全功能能按照规定进行运作。生命周期支持开发者应提供开发安全文件。开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性， 而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离部件的开发和维护过程中执行安全措施的证据。增强级要求访问控制安全属性定义对于信息存储与传输部件（主要是处于不同安全域的存储设备、网络接入设备），物理断开隔离部件应为其设定唯一的、为了执

16、行安全功能策略所必需的安全属性。属性修改物理断开隔离部件安全功能应向端设备用户提供修改与安全相关属性的参数的能力。属性查询物理断开隔离部件安全功能应向端设备用户提供安全属性查询的能力。访问授权与拒绝物理断开隔离部件的安全功能应对被隔离的计算机信息资源提供明确的访问保障能力和访问拒绝能力。在技术上确保：在信息物理传导上使内外网络隔断，确保外部网不能通过网络连接侵入内部网；同时阻止内部网信息通过网络连接泄露到外部网；在信息物理存储上隔断两个网络环境，对于断电后会逸失信息的部件，如内存、寄存器等暂存部件，要在网络转换时作清零处理，防止遗留信息窜网；对于断电后不会逸失信息的设备， 如磁带机、硬盘等存储

17、设备，内部网与外部网信息要以不同存储设备分开存储；对移动存储介质，如光盘、软盘、USB 硬盘等，应在网络转换前提示用户干预或禁止在双网都能使用这些设备。不可旁路在与安全有关的操作（例如安全属性的修改）被允许执行之前，物理断开隔离部件安全功能应确保其通过安全功能策略的检查。客体重用在为所有内部或外部网上的主机连接进行资源分配时，物理断开隔离部件安全功能应保证不提供以前连接的任何信息内容。配置管理配置管理能力开发者应使用配置管理系统并提供配置管理文档，以及为隔离部件产品的不同版本提供唯一的标识。配置管理系统应对所有的配置项作出唯一的标识，并保证只有经过授权才能修改配置项。配置管理文档应包括配置清单

18、和配置管理计划。在配置清单中，应对每一配置项给出相应的描述； 在配置管理计划中，应描述配置管理系统是如何使用的。实施的配置管理应与配置管理计划相一致。配置管理文档还应描述对配置项给出唯一标识的方法，并提供所有的配置项得到有效地维护的证据。配置管理范围开发者应提供配置管理文档。配置管理文档应说明配置管理系统至少能跟踪：隔离部件实现表示、设计文档、测试文档、用户文档、管理员文档和配置管理文档，并描述配置管理系统是如何跟踪配置项的。交付与运行交付开发者应使用一定的交付程序交付物理断开隔离部件，并将交付过程文档化。交付文档应描述在给用户方交付物理断开隔离部件的各版本时，为维护安全所必需的所有程序。安装

19、生成开发者应提供文档说明物理断开隔离部件的安装、生成和启动的过程。安全功能开发过程功能设计开发者应提供隔离部件的安全功能设计。功能设计应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与方法，在需要的时候，还要提供例外情况和错误信息的细节。安全功能设计应是内在一致的并能完备地表示安全功能。高层设计开发者应提供隔离部件安全功能的高层设计。高层设计应以非形式方法表述并且是内在一致的。为说明安全功能的结构，高层设计应将安全功能分解为各个安全功能子系统进行描述，并阐明如何将有助于加强隔离部件安全功能的子系统和其它子系统分开。对于每一个安全功能子系统，高层设计应描述其提供的安全功

20、能，标识其所有接口以及哪些接口是外部可见的，描述其所有接口的使用目的与方法，并提供安全功能子系统的作用、例外情况和错误信息的细节。高层设计还应标识安全功能要求的所有基础性的硬件、固件和软件，并且支持由这些硬件、固件或软件所实现的保护机制。表示对应性开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。对于隔离部件安全功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安全功能，应在较具体的安全功能表示中得到正确而完备地细化。指导性文档管理员指南开发者应提供系统管理员使用的管理员指南。管理员指南应说明以下内容：隔离部件管理员可以使用的管理功能和接口；怎样安全地管理隔离部件；

21、在安全处理环境中应进行控制的功能和权限；所有对与隔离部件的安全操作有关的用户行为的假设；所有受管理员控制的安全参数，如果可能，应指明安全值；每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改变；所有与系统管理员有关的 IT 环境的安全要求。管理员指南应与为评估而提供的其他所有文档保持一致。用户指南开发者应提供用户指南。 用户指南应说明以下内容：隔离部件的非管理用户可使用的安全功能和接口；隔离部件提供给用户的安全功能和接口的用法；用户可获取但应受安全处理环境控制的所有功能和权限；隔离部件安全操作中用户所应承担的职责；与用户有关的 IT 环境的所有安全要求。用户指南应

22、与为评估而提供的其他所有文档保持一致。生命周期支持开发者应提供开发安全文件。开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性，而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离部件的开发和维护过程中执行安全措施的证据。测试范围开发者应提供测试覆盖的分析结果。测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对应的，且该对应是完备的。测试深度开发者应提供测试深度的分析。在深度分析中，应说明测试文档中所标识的对安全功能的测试，足以表明该安全功能和高层设计是一致的。功能测试开发者应测试安全功能，将结

23、果文档化并提供测试文档。测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况， 这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测试结果应表明每个被测试的安全功能能按照规定进行运作。独立性测试开发商应提供用于适合测试的部件，且提供的测试集合应与其自测产品功能时使用的测试集合相一致。脆弱性评定指南检查开发者应提供指南性文档。在指南性文档中，应确定对隔离部件的所有可能的操作方式（包括失败和操作失误后的操作）、它们的后果以及对于保持安全操作的意义

24、。指南性文档中还应列出所有目标环境的假设以及所有外部安全措施（包括外部程序的、物理的或人员的控制）的要求。指南性文档应是完备的、清晰的、一致的、合理的。脆弱性分析开发者应从用户可能破坏安全策略的明显途径出发，对隔离部件的各种功能进行分析并提供文档。对被确定的脆弱性，开发者应明确记录采取的措施。对每一条脆弱性，应有证据显示在使用隔离部件的环境中该脆弱性不能被利用。在文档中，还需证明经过标识脆弱性的隔离部件可以抵御明显的穿透性攻击。单向隔离部件基本级要求访问控制安全属性定义对于信息存储与传输部件（主要是处于不同安全域的存储设备、网络接入设备），单向隔离部件应为其设定唯一的、为了执行安全功能策略所必

25、需的安全属性。属性修改单向隔离部件安全功能应向端设备用户提供修改与安全相关属性的参数的能力。属性查询单向隔离部件安全功能应向端设备用户提供安全属性查询的能力。访问授权与拒绝单向隔离部件的安全功能应对被隔离的计算机信息资源提供明确的访问保障能力和访问拒绝能力。在技术上确保：在信息物理传导上使内外网络隔断，确保内部网不能通过网络连接到外部网；同时保证限定外部网信息只能通过特定存储区域转移至内部网存储区域，从而阻止内部网信息通过网络连接泄露到外部网。在信息物理存储上隔断两个网络环境，对于断电后会逸失信息的部件，如内存、寄存器等暂存部件，要在网络转换时作清零处理，防止遗留信息窜网；对于断电后不会逸失信

26、息的设备， 如磁带机、硬盘等存储设备，内部网与外部网信息要分开存储并以硬件手段保证其特定的访问控制；对移动存储介质，如光盘、软盘、USB 硬盘等，应在网络转换前提示用户干预。配置管理开发者应为隔离部件产品的不同版本提供唯一的标识。隔离部件产品的每个版本应当使用它们的唯一标识作为标签。交付与运行交付开发者应使用一定的交付程序交付单向隔离部件，并将交付过程文档化。交付文档应描述在给用户方交付单向隔离部件的各版本时，为维护安全所必需的所有程序。安装生成开发者应提供文档说明单向隔离部件的安装、生成和启动的过程。安全功能开发过程功能设计开发者应提供隔离部件产品的安全功能设计。功能设计应以非形式方法来描述

27、安全功能与其外部接口，并描述使用外部安全功能接口的目的与方法，在需要的时候，还要提供例外情况和错误信息的细节。安全功能设计应是内在一致的并能完备地表示安全功能。表示对应性开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。对于隔离部件安全功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安全功能，应在较具体的安全功能表示中得到正确而完备地细化。指导性文档管理员指南开发者应提供系统管理员使用的管理员指南。管理员指南应说明以下内容：隔离部件可以使用的管理功能和接口；怎样安全地管理隔离部件；在安全处理环境中应进行控制的功能和权限；所有对与隔离部件的安全操作有关的用户行为的假

28、设；所有受管理员控制的安全参数，如果可能，应指明安全值；每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改变；所有与系统管理员有关的 IT 环境的安全要求。管理员指南应与为评估而提供的其他所有文档保持一致。用户指南开发者应提供用户指南。 用户指南应说明以下内容：隔离部件的非管理用户可使用的安全功能和接口；隔离部件提供给用户的安全功能和接口的用法；用户可获取但应受安全处理环境控制的所有功能和权限；隔离部件安全操作中用户所应承担的职责；与用户有关的 IT 环境的所有安全要求。用户指南应与为评估而提供的其他所有文档保持一致。测试范围开发者应提供测试覆盖的分析结果。测试覆

29、盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对应的。功能测试开发者应测试安全功能，将结果文档化并提供测试文档。测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况， 这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测试结果应表明每个被测试的安全功能能按照规定进行运作。生命周期支持开发者应提供开发安全文件。开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性， 而在物理上、程序上、人

30、员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离部件的开发和维护过程中执行安全措施的证据。增强级要求访问控制安全属性定义对于信息存储与传输部件（主要是处于不同安全域的存储设备、网络接入设备），单向隔离部件应为其设定唯一的、为了执行安全功能策略所必需的安全属性。属性修改单向隔离部件安全功能应向端设备用户提供修改与安全相关属性的参数的能力。属性查询单向隔离部件安全功能应向端设备用户提供安全属性查询的能力。访问授权与拒绝单向隔离部件的安全功能应对被隔离的计算机信息资源提供明确的访问保障能力和访问拒绝能力。在技术上确保：在信息物理传导上使内外网络隔断，确保内部网不能通过网络连接到外部

31、网；同时保证限定外部网信息只能通过特定存储区域转移至内部网存储区域，从而阻止内部网信息通过网络连接泄露到外部网。在信息物理存储上隔断两个网络环境，对于断电后会逸失信息的部件，如内存、寄存器等暂存部件，要在网络转换时作清零处理，防止遗留信息窜网；对于断电后不会逸失信息的设备， 如磁带机、硬盘等存储设备，内部网与外部网信息要以不同存储设备分开存储；对移动存储介质，如光盘、软盘、USB 硬盘等，应在网络转换前提示用户干预或禁止在双网都能使用这些设备。不可旁路在与安全有关的操作（例如安全属性的修改）被允许执行之前，隔离部件安全功能应确保其通过安全功能策略的检查。客体重用在为所有内部或外部网上的主机连接

32、进行资源分配时，隔离部件安全功能应保证不提供以前连接的任何信息内容。配置管理配置管理能力开发者应使用配置管理系统并提供配置管理文档，以及为隔离部件产品的不同版本提供唯一的标识。配置管理系统应对所有的配置项作出唯一的标识，并保证只有经过授权才能修改配置项。配置管理文档应包括配置清单和配置管理计划。在配置清单中，应对每一配置项给出相应的描述； 在配置管理计划中，应描述配置管理系统是如何使用的。实施的配置管理应与配置管理计划相一致。配置管理文档还应描述对配置项给出唯一标识的方法，并提供所有的配置项得到有效地维护的证据。配置管理范围开发者应提供配置管理文档。配置管理文档应说明配置管理系统至少能跟踪：隔

33、离部件实现表示、设计文档、测试文档、用户文档、管理员文档和配置管理文档，并描述配置管理系统是如何跟踪配置项的。交付与运行交付开发者应使用一定的交付程序交付单向隔离部件，并将交付过程文档化。交付文档应描述在给用户方交付单向隔离部件的各版本时，为维护安全所必需的所有程序。安装生成开发者应提供文档说明单向隔离部件的安装、生成和启动的过程。安全功能开发过程功能设计开发者应提供隔离部件的安全功能设计。功能设计应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与方法，在需要的时候，还要提供例外情况和错误信息的细节。安全功能设计应是内在一致的并能完备地表示安全功能。高层设计开发者应提

34、供隔离部件安全功能的高层设计。高层设计应以非形式方法表述并且是内在一致的。为说明安全功能的结构，高层设计应将安全功能分解为各个安全功能子系统进行描述，并阐明如何将有助于加强隔离部件安全功能的子系统和其它子系统分开。对于每一个安全功能子系统，高层设计应描述其提供的安全功能，标识其所有接口以及哪些接口是外部可见的，描述其所有接口的使用目的与方法，并提供安全功能子系统的作用、例外情况和错误信息的细节。高层设计还应标识安全功能要求的所有基础性的硬件、固件和软件，并且支持由这些硬件、固件或软件所实现的保护机制。表示对应性开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。对于隔离部件安全功能表

35、示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安全功能，应在较具体的安全功能表示中得到正确而完备地细化。指导性文档管理员指南开发者应提供系统管理员使用的管理员指南。管理员指南应说明以下内容：隔离部件管理员可以使用的管理功能和接口；怎样安全地管理隔离部件；在安全处理环境中应进行控制的功能和权限；所有对与隔离部件的安全操作有关的用户行为的假设；所有受管理员控制的安全参数，如果可能，应指明安全值；每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改变；所有与系统管理员有关的 IT 环境的安全要求。管理员指南应与为评估而提供的其他所有文档保持一致。用户指南开发

36、者应提供用户指南。 用户指南应说明以下内容：隔离部件的非管理用户可使用的安全功能和接口；隔离部件提供给用户的安全功能和接口的用法；用户可获取但应受安全处理环境控制的所有功能和权限；隔离部件安全操作中用户所应承担的职责；与用户有关的 IT 环境的所有安全要求。用户指南应与为评估而提供的其他所有文档保持一致。生命周期支持开发者应提供开发安全文件。开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性，而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离部件的开发和维护过程中执行安全措施的证据。测试范围开发者应提供测试覆盖的分析结果。测

37、试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对应的，且该对应是完备的。测试深度开发者应提供测试深度的分析。在深度分析中，应说明测试文档中所标识的对安全功能的测试，足以表明该安全功能和高层设计是一致的。功能测试开发者应测试安全功能，将结果文档化并提供测试文档。测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况， 这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测试结果应表明每个被测试的安全功能能按照规定进行

38、运作。独立性测试开发商应提供用于适合测试的产品，且提供的测试集合应与其自测产品功能时使用的测试集合相一致。脆弱性评定指南检查开发者应提供指南性文档。在指南性文档中，应确定对隔离部件的所有可能的操作方式（包括失败和操作失误后的操作）、它们的后果以及对于保持安全操作的意义。指南性文档中还应列出所有目标环境的假设以及所有外部安全措施（包括外部程序的、物理的或人员的控制）的要求。指南性文档应是完备的、清晰的、一致的、合理的。脆弱性分析开发者应从用户可能破坏安全策略的明显途径出发，对隔离部件的各种功能进行分析并提供文档。对被确定的脆弱性，开发者应明确记录采取的措施。对每一条脆弱性，应有证据显示在使用隔离

39、部件的环境中该脆弱性不能被利用。在文档中，还需证明经过标识脆弱性的隔离部件可以抵御明显的穿透性攻击。协议隔离部件第一级访问控制安全属性定义对于每一个授权管理员、构成系统的信息传输与控制部件、应用层数据采集与接受部件，协议隔离部件安全功能应为其提供一套唯一的、为了执行安全功能策略所必需的安全属性。属性初始化协议隔离部件安全功能应提供用默认值对授权管理员和主机属性初始化的能力。属性修改协议隔离部件安全功能应仅向授权管理员提供修改下述（包含但不仅限于）参数的能力： 标识与角色（例如：配置管理员等）的关系；数据采集与接收部件参数（例如：采集、接收部件主机的 IP 地址、应用服务参数等）；配置的安全参数

40、（例如：最大鉴别失败次数等数据）。属性查询协议隔离部件安全功能应仅向授权管理员提供以下查询：数据采集与接收部件参数（例如：采集、接收部件主机的 IP 地址、应用服务参数等）；通过协议隔离部件传送信息的设备名。访问授权与拒绝协议隔离安全功能应根据数据发送方和接收方的安全属性值主机名、IP 地址、预先定义的传输层协议和请求的服务（例如：源端口号或目的端口号）、应用层协议、应用数据关键字等，提供明确的访问保障能力和拒绝访问能力。身份鉴别鉴别数据初始化协议隔离部件安全功能应根据规定的鉴别机制，提供授权管理员鉴别数据的初始化功能,并确保仅允许授权管理员使用这些功能。鉴别时机在所有授权管理员请求执行的任何

41、操作之前，协议隔离部件安全功能应确保对每个授权管理员进行了身份鉴别。鉴别失败处理在经过一定次数的鉴别失败以后，协议隔离部件安全功能应能终止进行登录尝试主机建立会话的过程。最多失败次数仅由授权管理员设定。数据完整性协议隔离部件安全功能应保护储存的鉴别数据和过滤策略不受未授权查阅、修改和破坏。配置管理开发者应为隔离部件产品的不同版本提供唯一的标识。隔离部件产品的每个版本应当使用它们的唯一标识作为标签。交付与运行交付开发者应使用一定的交付程序交付协议隔离部件，并将交付过程文档化。交付文档应描述在给用户方交付协议隔离部件的各版本时，为维护安全所必需的所有程序。安装生成开发者应提供文档说明协议隔离部件的

42、安装、生成和启动的过程。安全功能开发过程功能设计开发者应提供隔离部件产品的安全功能设计。功能设计应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与方法，在需要的时候，还要提供例外情况和错误信息的细节。安全功能设计应是内在一致的并能完备地表示安全功能。表示对应性开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。对于隔离部件安全功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安全功能，应在较具体的安全功能表示中得到正确而完备地细化。指导性文档管理员指南开发者应提供系统管理员使用的管理员指南。管理员指南应说明以下内容：隔离部件可以使用的管理功能

43、和接口；怎样安全地管理隔离部件；在安全处理环境中应进行控制的功能和权限；所有对与隔离部件的安全操作有关的用户行为的假设；所有受管理员控制的安全参数，如果可能，应指明安全值；每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改变；所有与系统管理员有关的 IT 环境的安全要求。管理员指南应与为评估而提供的其他所有文档保持一致。用户指南开发者应提供用户指南。 用户指南应说明以下内容：隔离部件的非管理用户可使用的安全功能和接口；隔离部件提供给用户的安全功能和接口的用法；用户可获取但应受安全处理环境控制的所有功能和权限；隔离部件安全操作中用户所应承担的职责；与用户有关的 IT

44、 环境的所有安全要求。用户指南应与为评估而提供的其他所有文档保持一致。测试范围开发者应提供测试覆盖的分析结果。测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对应的。功能测试开发者应测试安全功能，将结果文档化并提供测试文档。测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况， 这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测试结果应表明每个被测试的安全功能能按照规定进行运作。生命周期支持开发者应提供开发安

45、全文件。开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性， 而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离部件的开发和维护过程中执行安全措施的证据。第二级访问控制安全属性定义对于每一个授权管理员、构成系统的信息传输与控制部件、应用层数据采集与接受部件，协议隔离部件安全功能应为其提供一套唯一的、为了执行安全功能策略所必需的安全属性。属性初始化协议隔离部件安全功能应提供用默认值对授权管理员和主机属性初始化的能力。属性修改协议隔离部件安全功能应仅向授权管理员提供修改下述（包含但不仅限于）参数的能力： 标识与角色（例如：配置管

46、理员等）的关系；数据采集与接收部件参数（例如：采集、接收部件主机的 IP 地址、应用服务参数等）；配置的安全参数（例如：最大鉴别失败次数等数据）。属性查询协议隔离部件安全功能应仅向授权管理员提供以下查询：数据采集与接收部件参数（例如：采集、接收部件主机的 IP 地址、应用服务参数等）；通过协议隔离部件传送信息的设备名。访问授权与拒绝协议隔离安全功能应根据数据发送方和接收方的安全属性值主机名、IP 地址、预先定义的传输层协议和请求的服务（例如：源端口号或目的端口号）、应用层协议、应用数据关键字等，提供明确的访问保障能力和拒绝访问能力。不可旁路在与安全有关的操作（例如安全属性的修改、内部网络主机向

47、外部网络主机传送信息等）被允许执行之前，协议隔离部件安全功能应确保其通过安全功能策略的检查。区分安全管理角色协议隔离部件安全功能：应将与安全相关的管理功能与其他功能区分开；应包括安装、配置和管理隔离部件安全功能本身所需的所有功能，其中至少应包括：增加和删除主体（发送信息的主机）和客体（接受信息的主机），查阅安全属性，分配、修改和撤销安全属性，查阅和管理审计数据；应把执行与安全相关的管理功能的能力限定为一种安全管理职责，该职责具有一套特别授权的功能和响应的责任；应能把授权执行管理功能的授权管理员与使用隔离部件的所有其他个人或系统分开；应仅允许授权管理员承担安全管理职责；应在提出一个明确的请求以后

48、，才会让授权管理员承担安全管理职责。管理功能协议隔离部件安全功能应向授权管理员提供如下管理功能：能设置和更新与安全相关的数据；能执行隔离部件的安装及初始化、系统启动和关闭、备份和恢复的能力，备份能力应有自动工具的支持；如果隔离部件安全功能支持外部或内部接口的远程管理，那么它应：具有对两个接口或其中之一关闭远程管理的选择权；能限制那些可进行远程管理的地址；能通过加密来保护远程管理对话。身份鉴别鉴别数据初始化协议隔离部件安全功能应根据规定的鉴别机制，提供授权管理员鉴别数据的初始化功能,并确保仅允许授权管理员使用这些功能。鉴别时机在所有授权管理员请求执行的任何操作之前，协议隔离部件安全功能应确保对每

49、个授权管理员进行了身份鉴别。最少反馈当进行鉴别时，协议隔离部件安全功能应仅将最少的反馈提供给用户。鉴别失败处理在经过一定次数的鉴别失败以后，协议隔离部件安全功能应能终止进行登录尝试主机建立会话的过程。最多失败次数仅由授权管理员设定。客体重用在为所有内部或外部网上的主机连接进行资源分配时，协议隔离部件安全功能应保证不提供以前连接的任何信息内容。审计审计数据生成协议隔离部件安全功能应能对下列可审计事件生成一个审计记录：审计功能的启动和关闭；任何对审计记录进行操作的尝试，包括关闭审计功能或子系统，以及受影响客体的标识；任何读取、修改、破坏审计记录的尝试；所有对隔离部件规则覆盖的客体（内部或外部网络上

50、的主机）执行操作的请求，以及受影响客体的标识；修改安全属性的所有尝试，以及修改后安全属性的新值；所有使用安全功能中鉴别数据管理机制的请求；所有访问鉴别数据的请求，以及访问请求的目标；任何对鉴别机制的使用；所有使用标识机制的尝试；所有对安全功能配置参数的修改（设置和更新），无论成功与否，以及配置参数的新值； 对于每一个审计记录，隔离部件安全功能应至少记录以下信息：事件发生的日期和时间，事件的类型，主体身份和成功或失败事件。审计记录管理协议隔离部件安全功能应使授权管理员能创建、存档、删除和清空审计记录。可理解的格式协议隔离部件安全功能应使存储于永久性审计记录中的所有审计数据可为人所理解。限制审计记

51、录访问协议隔离部件安全功能应仅允许授权管理员访问审计记录。可选择查阅审计协议隔离部件安全功能应提供能按主体 ID（标识符）、客体 ID、日期、时间以及这些参数的逻辑组合等参数对审计数据进行查找和排序的审计查阅工具。防止审计数据丢失协议隔离部件安全功能应把生成的审计记录储存于一个永久性的审计记录中,并应限制由于故障和攻击造成的审计事件丢失的数量；对因故障或存储耗竭而导致审计数据丢失的最大审计存储容量，协议隔离部件的开发者应提供相应的分析结果。数据完整性协议隔离部件安全功能应保护储存于设备中的鉴别数据和信息传输策略不受未授权查阅、修改和破坏。配置管理配置管理能力开发者应使用配置管理系统并提供配置管

52、理文档，以及为隔离部件产品的不同版本提供唯一的标识。配置管理系统应对所有的配置项作出唯一的标识，并保证只有经过授权才能修改配置项。配置管理文档应包括配置清单和配置管理计划。在配置清单中，应对每一配置项给出相应的描述； 在配置管理计划中，应描述配置管理系统是如何使用的。实施的配置管理应与配置管理计划相一致。配置管理文档还应描述对配置项给出唯一标识的方法，并提供所有的配置项得到有效地维护的证据。配置管理范围开发者应提供配置管理文档。配置管理文档应说明配置管理系统至少能跟踪：隔离部件实现表示、设计文档、测试文档、用户文档、管理员文档和配置管理文档，并描述配置管理系统是如何跟踪配置项的。交付与运行交付

53、开发者应使用一定的交付程序交付协议隔离部件，并将交付过程文档化。交付文档应描述在给用户方交付协议隔离部件的各版本时，为维护安全所必需的所有程序。安装生成开发者应提供文档说明协议隔离部件的安装、生成、启动和日志生成的过程。安全功能开发过程功能设计开发者应提供隔离部件的安全功能设计。功能设计应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与方法，在需要的时候，还要提供例外情况和错误信息的细节。安全功能设计应是内在一致的并能完备地表示安全功能。高层设计开发者应提供隔离部件安全功能的高层设计。高层设计应以非形式方法表述并且是内在一致的。为说明安全功能的结构，高层设计应将安全功

54、能分解为各个安全功能子系统进行描述，并阐明如何将有助于加强隔离部件安全功能的子系统和其它子系统分开。对于每一个安全功能子系统，高层设计应描述其提供的安全功能，标识其所有接口以及哪些接口是外部可见的，描述其所有接口的使用目的与方法，并提供安全功能子系统的作用、例外情况和错误信息的细节。高层设计还应标识安全功能要求的所有基础性的硬件、固件和软件，并且支持由这些硬件、固件或软件所实现的保护机制。表示对应性开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。对于隔离部件安全功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安全功能，应在较具体的安全功能表示中得到正确而完备地细

55、化。指导性文档管理员指南开发者应提供系统管理员使用的管理员指南。管理员指南应说明以下内容：隔离部件管理员可以使用的管理功能和接口；怎样安全地管理隔离部件；在安全处理环境中应进行控制的功能和权限；所有对与隔离部件的安全操作有关的用户行为的假设；所有受管理员控制的安全参数，如果可能，应指明安全值；每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改变；所有与系统管理员有关的 IT 环境的安全要求。管理员指南应与为评估而提供的其他所有文档保持一致。用户指南开发者应提供用户指南。 用户指南应说明以下内容：隔离部件的非管理用户可使用的安全功能和接口；隔离部件提供给用户的安全功

56、能和接口的用法；用户可获取但应受安全处理环境控制的所有功能和权限；隔离部件安全操作中用户所应承担的职责；与用户有关的 IT 环境的所有安全要求。用户指南应与为评估而提供的其他所有文档保持一致。生命周期支持开发者应提供开发安全文件。开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性，而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离部件的开发和维护过程中执行安全措施的证据。测试范围开发者应提供测试覆盖的分析结果。测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对应的，且该对应是完备的。测试深度开

57、发者应提供测试深度的分析。在深度分析中，应说明测试文档中所标识的对安全功能的测试，足以表明该安全功能和高层设计是一致的。功能测试开发者应测试安全功能，将结果文档化并提供测试文档。测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况， 这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测试结果应表明每个被测试的安全功能能按照规定进行运作。独立性测试开发商应提供用于适合测试的产品，且提供的测试集合应与其自测产品功能时使用的测试集合相一致。脆弱性评

58、定指南检查开发者应提供指南性文档。在指南性文档中，应确定对隔离部件的所有可能的操作方式（包括失败和操作失误后的操作）、它们的后果以及对于保持安全操作的意义。指南性文档中还应列出所有目标环境的假设以及所有外部安全措施（包括外部程序的、物理的或人员的控制）的要求。指南性文档应是完备的、清晰的、一致的、合理的。脆弱性分析开发者应从用户可能破坏安全策略的明显途径出发，对隔离部件的各种功能进行分析并提供文档。对被确定的脆弱性，开发者应明确记录采取的措施。对每一条脆弱性，应有证据显示在使用隔离部件的环境中该脆弱性不能被利用。在文档中，还需证明经过标识脆弱性的隔离部件可以抵御明显的穿透性攻击。第三级访问控制

59、安全属性定义对于每一个授权管理员、构成系统的信息传输与控制部件、应用层数据采集与接受部件，协议隔离部件安全功能应为其提供一套唯一的、为了执行安全功能策略所必需的安全属性。属性初始化协议隔离部件安全功能应提供用默认值对授权管理员和主机属性初始化的能力。属性修改协议隔离部件安全功能应仅向授权管理员提供修改下述（包含但不仅限于）参数的能力： 标识与角色（例如：配置管理员等）的关系；数据采集与接收部件参数（例如：采集、接收部件主机的 IP 地址、应用服务参数等）；配置的安全参数（例如：最大鉴别失败次数等数据）。属性查询协议隔离部件安全功能应仅向授权管理员提供以下查询：数据采集与接收部件参数（例如：采集

60、、接收部件主机的 IP 地址、应用服务参数等）；通过协议隔离部件传送信息的设备名。隔离部件强制访问控制协议隔离部件安全功能应通过授权管理员和授权管理员控制的安全功能数据的敏感标记，控制授权管理员对相关安全功能数据的直接访问。访问授权与拒绝协议隔离安全功能应根据数据发送方和接收方的安全属性值主机名、IP 地址、预先定义的传输层协议和请求的服务（例如：源端口号或目的端口号）、应用层协议、应用数据关键字等，提供明确的访问保障能力和拒绝访问能力。若访问被拒绝，隔离部件应以有效手段实时通知授权管理员。安全功能区域分隔为保护协议隔离部件安全功能免遭不可信主体（内部或外部网络上的主机）的干扰和篡改，协议隔离